Protección de datos en la consulta médica: las 5 trampas del día a día y cuándo necesita un delegado de protección de datos

Después de leer este artículo sabrá si su consulta necesita un delegado de protección de datos, qué situaciones cotidianas fallan con más frecuencia y cómo formar a su equipo de forma demostrable. La base es el art. 9, apdo. 1, RGPD: los datos de salud son una categoría especial de datos personales y solo pueden tratarse bajo condiciones estrictas, independientemente del tamaño de la consulta.

De la redacción de Provimedia · Fecha: julio de 2026 · Este artículo es una información general y no constituye asesoramiento jurídico.

¿Por qué se aplican reglas especiales en la consulta médica?

Hay dos aspectos decisivos. En primer lugar: el art. 9, apdo. 1, RGPD prohíbe en principio el tratamiento de datos de salud. Solo se aplica una excepción para la asistencia sanitaria, a través del art. 9, apdo. 2, letra h, en relación con el art. 9, apdo. 3, RGPD: en ese caso, solo puede tratar los datos personal sujeto a una obligación de secreto profesional o a una obligación equivalente.

En segundo lugar, se aplica en paralelo el secreto médico, sancionado penalmente en el § 203 StGB (Código Penal alemán). Quien revela sin autorización un secreto ajeno se expone a una pena de prisión de hasta un año o a una multa. Secreto profesional y protección de datos no son sinónimos: ambos círculos de obligaciones se aplican en paralelo y deben cumplirse al mismo tiempo.

Qué significa esto para usted: compruebe que todos los empleados estén obligados por escrito a guardar confidencialidad.

¿Qué situaciones cotidianas son delicadas?

Los mayores riesgos rara vez surgen de ataques informáticos complejos, sino de rutinas cotidianas. La siguiente tabla muestra las situaciones más frecuentes y la práctica correcta para cada una.

El propio software de la consulta también es relevante, pues aquí importa su calificación contractual:

• Si el software funciona a través de un proveedor externo de centro de datos o de nube, este suele tratar los datos como encargado del tratamiento en el sentido del art. 28 RGPD. Para ello se necesita un AVV válido (contrato de encargo del tratamiento).
• En el caso de laboratorios externos o médicos especialistas a quienes se transmiten resultados, en cambio, a menudo no existe una relación de encargo del tratamiento: estas entidades utilizan los datos para sus propios fines asistenciales, bajo su propia responsabilidad. Aquí se necesita una base jurídica sólida para la transmisión, no un AVV.

En el plano técnico, el art. 32 RGPD exige medidas adecuadas como la protección con contraseña, el bloqueo automático de pantalla, vías de transmisión cifradas y un procedimiento regulado ante violaciones de la seguridad de los datos. En el plano organizativo, la discreción significa sobre todo protección visual en la recepción, archivadores cerrados con llave y un manejo meditado del fax, el correo electrónico y los servicios de mensajería.

¿Necesita una consulta un delegado de protección de datos?

Según el § 38, apdo. 1, BDSG (ley federal alemana de protección de datos), los responsables deben designar a un delegado o una delegada de protección de datos cuando, por regla general, ocupan de forma permanente al menos a 20 personas en el tratamiento automatizado de datos personales. Muchas consultas médicas pequeñas y medianas no alcanzan este umbral de 20 personas y, por tanto, no están obligadas a designarlo.

Con independencia del número de personas, puede surgir no obstante una obligación de designación, por ejemplo cuando un tratamiento requiere una evaluación de impacto relativa a la protección de datos.

Importante: si no existe obligación de designación, no desaparecen las obligaciones de fondo del RGPD. Incluso sin delegado de protección de datos, toda consulta debe:

• llevar un registro de las actividades de tratamiento,
• informar a los pacientes sobre el tratamiento de sus datos,
• cumplir su obligación de responsabilidad proactiva conforme al RGPD, es decir, documentar el cumplimiento de los principios y poder demostrarlo.

¿Cómo se forma a los empleados de la consulta?

La Asociación Federal de Médicos de la Seguridad Social (Kassenärztliche Bundesvereinigung, KBV) señala expresamente que los empleados de la consulta deben estar informados sobre el secreto profesional y la protección de datos. Los técnicos sanitarios y auxiliares médicos tienen contacto diario con datos especialmente sensibles: en la recepción, por teléfono y en la facturación.

Por eso deberían conocer los fundamentos jurídicos:

• qué son las categorías especiales de datos personales,
• qué derechos tienen los pacientes,
• y cómo debe comunicarse la sospecha de una violación de la seguridad de los datos.

Una formación básica en RGPD válida para todos los sectores transmite precisamente esta base a todo el equipo de la consulta, incluido un certificado de participación fechado para cada empleada y empleado. Sin embargo, no sustituye una instrucción interna de la consulta sobre los procesos concretos en el lugar, por ejemplo el manejo del software de gestión de la consulta, el sistema de autorizaciones propio de la consulta o las vías de comunicación en caso de incidente. Este ajuste fino sigue siendo tarea de la dirección de la consulta.

Preguntas frecuentes (FAQ)

¿Se pueden llamar los nombres de los pacientes en la sala de espera?

Es delicado desde el punto de vista de la protección de datos. No existe una norma que lo prohíba expresamente, pero el principio de minimización de datos se opone claramente a llamar en voz alta nombres y diagnósticos en la zona de espera. Por ello, las autoridades de control recomiendan alternativas como números de llamada, una señal discreta en la recepción o ir a buscar al paciente directamente a la sala de espera.

¿Debe toda consulta médica designar un delegado de protección de datos?

No. La obligación del § 38, apdo. 1, BDSG solo se aplica, por regla general, a partir de al menos 20 personas que se ocupen de forma permanente del tratamiento automatizado de datos. Muchas consultas individuales y comunitarias no alcanzan este umbral. Con independencia de ello, también puede surgir una obligación por debajo de este umbral, por ejemplo en determinados tratamientos; aun así, una designación voluntaria puede ser conveniente.

¿Durante cuánto tiempo hay que conservar los expedientes de los pacientes?

Según el § 630f, apdo. 3, BGB (Código Civil alemán), el expediente de tratamiento debe conservarse en principio diez años después de concluido el tratamiento. Otras disposiciones pueden prever plazos distintos, en parte más largos, por ejemplo para las radiografías. En caso de duda, se aplica el plazo más largo.

¿Qué ocurre en caso de una infracción de protección de datos en la consulta?

Las infracciones pueden ser examinadas por la autoridad de control competente y sancionadas con una multa conforme al art. 83 RGPD, cuya cuantía se determina según el caso concreto. En caso de vulneración del secreto profesional, se añaden consecuencias penales conforme al § 203 StGB, así como reclamaciones civiles de los pacientes afectados.

La formación básica en RGPD de Provimedia crea para todo su equipo una base común y documentada, explicada de forma comprensible y realizable en línea.

Fuentes

• EUR-Lex: Reglamento (UE) 2016/679 (RGPD), en particular los arts. 9, 28 y 32
• gesetze-im-internet.de: § 38 BDSG – delegados de protección de datos de organismos no públicos
• gesetze-im-internet.de: § 203 StGB – violación de secretos privados
• gesetze-im-internet.de: § 630f BGB – documentación del tratamiento
• Kassenärztliche Bundesvereinigung (KBV): protección de datos en la consulta